Site WordPress envoie du spam : couper les envois et retrouver une messagerie fiable

Vos offres ne parviennent plus à vos clients de Namur ou d’Anvers, des dizaines d’avis de non-distribution s’empilent dans votre boîte et votre hébergeur vous écrit au sujet d’un volume d’envois inhabituel : tout indique que votre site WordPress envoie du spam sans que vous l’ayez décidé. L’enjeu dépasse la simple gêne, car c’est votre réputation d’expéditeur et la confiance de vos correspondants qui sont en jeu.

L’agence Référenceur accompagne les indépendants, PME et ASBL de Wallonie, de Bruxelles et du reste du pays pour retrouver l’origine de ces messages, assainir un site WordPress piraté et rendre à leur domaine une messagerie que les serveurs de réception acceptent à nouveau.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Cette page complète notre guide de la sécurité WordPress. Elle distingue ce que vous pouvez contrôler seul, ce qui relève de votre hébergeur et les réflexes qui, au contraire, prolongent l’incident. Une analyse gratuite de sécurité est aussi disponible sur cette page pour un premier coup d’œil.

Les symptômes qui trahissent des envois suspects

L’alerte vient rarement de WordPress lui-même. Ce sont vos contacts qui vous transfèrent un message douteux portant votre nom de domaine, ou vos propres e-mails qui tombent dans les indésirables. Lisez attentivement les avis de non-distribution (bounces) : ils citent souvent la liste de blocage responsable.

• Un rejet qui mentionne une liste de blocage, par exemple le code 550 5.7.606-649 « banned sending IP » renvoyé par Microsoft.
• Un courrier de l’hébergeur évoquant un quota d’envoi dépassé ou la suspension de la messagerie du compte.
• Des centaines de retours adressés à des destinataires totalement inconnus.
• Des inscriptions en série ou des formulaires remplis de liens, parfois dans les quatre langues de votre site.

Trois origines possibles, trois réponses différentes

Premier scénario : un fichier PHP malveillant a été déposé sur le serveur, souvent dans le dossier des médias, dans une extension factice ou dans un thème abandonné. Ce script appelle directement la fonction mail() de PHP, sans passer par vos formulaires.

Deuxième scénario : un formulaire sain mais détourné. Un formulaire de contact qui renvoie une copie au visiteur, une inscription ouverte à tous ou la page « mot de passe oublié » servent de relais à des robots. Les sites multilingues sont exposés, car chaque version française, néerlandaise ou allemande a souvent son propre formulaire à protéger.

Troisième scénario, à ne pas confondre : une boîte e-mail compromise dont le mot de passe a fuité. Le site n’y est pour rien et c’est votre fournisseur de messagerie qui doit intervenir.

Couper, conserver, nettoyer : la séquence d’intervention

Solliciter un retrait de liste noire tant que la source est active est inutile : l’adresse IP ou le domaine sera de nouveau listé dans les heures qui suivent. L’ordre des opérations compte.

1. Bloquer les envois : demandez à l’hébergeur de suspendre la messagerie du compte ou affichez une page de maintenance.
2. Figer les preuves : copiez le site, la base et les journaux d’accès, d’erreurs et de messagerie avant toute suppression.
3. Repérer le fichier émetteur : l’en-tête X-PHP-Originating-Script ou le journal mail.log de PHP, activables par l’hébergeur, désignent le script qui appelle mail().
4. Vérifier l’intégrité du cœur et des extensions, puis traquer les fichiers PHP égarés dans les médias.
5. Renouveler les accès : administrateurs, SFTP, base de données, boîtes e-mail et clés de sécurité de wp-config.php.
6. Éliminer les versions « nulled » d’extensions ou de thèmes, au profit des versions officielles.

wp core verify-checksums
wp plugin verify-checksums --all
find wp-content/uploads -name "*.php"
wp cron event list

La dernière commande affiche les tâches planifiées : un événement inconnu peut relancer les envois toutes les heures. Le contrôle des extensions ne couvre que celles du répertoire WordPress.org ; une extension commerciale se compare à l’archive de l’éditeur. Pour la suite, voyez comment supprimer un malware WordPress et comment reprendre la main sur un compte administrateur piraté.

Authentifier votre domaine avec SPF, DKIM et DMARC

Ces enregistrements DNS n’arrêtent pas un script installé sur votre serveur. Ils empêchent en revanche des tiers d’usurper votre domaine et rassurent les messageries de vos clients. Le SPF déclare les serveurs autorisés, le DKIM signe chaque message et le DMARC dit quoi faire des messages qui échouent.

Les consignes de Google aux expéditeurs imposent SPF ou DKIM à tous, et les trois mécanismes à ceux qui envoient plus de 5 000 messages par jour vers Gmail. Google demande aussi de garder le taux de spam signalé dans Postmaster Tools sous 0,3 %.

Commencez DMARC en mode observation (p=none) avec une adresse de rapports. Une fois toutes vos sources légitimes identifiées (site, messagerie, outil de newsletter, logiciel de facturation), durcissez vers quarantine, puis reject.

Envoyer par SMTP authentifié et verrouiller les formulaires

La fonction wp_mail() repose sur la bibliothèque PHPMailer qui, par défaut, utilise la fonction mail() de PHP : le message part du serveur web, sans authentification forte.

Préférez un SMTP authentifié (votre messagerie professionnelle ou un service transactionnel hébergé dans l’UE si possible), avec une adresse dédiée et une connexion chiffrée. Une extension SMTP ou le crochet phpmailer_init décrit sur developer.wordpress.org permet ce réglage. Demandez ensuite à l’hébergeur s’il peut restreindre mail() pour votre compte.

Côté formulaires : champ piège ou défi anti-robot sur chaque version linguistique, suppression de la copie automatique au visiteur, plafond d’envois et désactivation de l’inscription ouverte dans Réglages > Général si elle ne sert pas.

Domaine blacklisté e-mail : demander le retrait au bon interlocuteur

Ce n’est qu’après le nettoyage et le changement des accès que vous pouvez traiter le domaine blacklisté e-mail ou l’adresse IP listée. Chaque liste a sa procédure, et l’avis de non-distribution indique laquelle consulter.

Où se situe le blocage	Message ou signe observé	Démarche
Spamhaus	Rejet citant une liste Spamhaus pour l’IP ou le domaine	Vérification et demande via check.spamhaus.org ; une liste SBL passe par l’hébergeur
Microsoft, IP bannie	550 5.7.606-649 « banned sending IP »	Portail de retrait sender.office.com, une IP par demande
Microsoft, expéditeur banni	550 5.7.511 « banned sender »	Transférer l’avis complet et l’IP à delist@microsoft.com
Gmail	Messages refusés ou classés en spam	Suivre la réputation dans Postmaster Tools et appliquer les consignes aux expéditeurs
Serveur mutualisé belge ou européen	Messagerie suspendue pour tout le compte	Transmettre la preuve du nettoyage et demander le déblocage

Faites une seule demande par liste, une fois la source supprimée : des demandes répétées alors que le spam continue retardent le retrait.

Données exposées : APD, CCB et police

Si les envois ont exposé des données de clients, par exemple des messages de formulaires stockés dans la base, le RGPD peut imposer une notification à l’Autorité de protection des données (APD) dans les 72 heures, sauf si la violation est peu susceptible d’engendrer un risque (article 33). Les personnes concernées doivent être informées en cas de risque élevé (article 34). Notre page sur la fuite de données et le RGPD détaille ces obligations, sans constituer un conseil juridique.

Le Centre pour la Cybersécurité Belgique (CCB) accepte aussi les signalements volontaires d’incidents via ccb.belgium.be. Si vos clients reçoivent des messages frauduleux à votre nom, ils peuvent les transférer à suspect@safeonweb.be, l’adresse de l’initiative Safeonweb. Un dépôt de plainte auprès de la police locale reste possible.

Diagnostiquer vos envois en visioconférence

Référenceur n’a pas de bureau à Liège, à Mons ou à Bruxelles, et vous n’y perdez rien : tout se fait en visioconférence, sans attendre un créneau sur place. Un atelier de cadrage permet de décortiquer ensemble vos avis de non-distribution.

En partage d’écran, nous passons en revue journaux, DNS et réglages d’envoi, en français et, si votre équipe le souhaite, en anglais. Une formation enregistrée vous reste pour les formulaires, puis un point mensuel suit la réputation du domaine.

La méthode est identique pour une entreprise de la Région bruxelloise ou de la province de Liège. Ensuite, le durcissement de WordPress et des mises à jour suivies limitent la récidive.

Site WordPress envoie du spam : questions fréquentes

Faut-il mettre tout le site hors ligne ?

Pas nécessairement, mais quand un site WordPress envoie du spam, les envois doivent cesser tout de suite. Demandez à l’hébergeur de bloquer la messagerie du compte ou activez une page de maintenance. Faites d’abord une copie du site et des journaux : elle sert de preuve et permet de retrouver le fichier ou le formulaire à l’origine du problème.

Mon domaine est-il sur liste noire ou est-ce seulement mon adresse IP ?

L’avis de non-distribution le précise souvent : une IP bannie touche tous les sites du même serveur mutualisé, alors qu’un domaine blacklisté e-mail vous suit même si vous changez d’hébergeur. Les outils de vérification des listes, comme check.spamhaus.org, permettent de tester les deux. La démarche de retrait n’est pas la même, d’où l’importance de bien identifier ce qui est listé.

DMARC en mode reject suffit-il à bloquer le spam ?

Non. DMARC protège votre domaine contre l’usurpation par des serveurs tiers, mais un script installé sur votre propre hébergement peut produire des messages qui passent les contrôles. Il faut donc d’abord nettoyer le site et changer les accès. DMARC reste ensuite très utile : ses rapports montrent rapidement si un envoi suspect réapparaît.

Que demander à mon hébergeur après une suspension ?

Réclamez les journaux de messagerie de la période, le nom du script qui appelait la fonction mail de PHP si l’en-tête dédié était actif et la liste des fichiers modifiés récemment. Demandez aussi les conditions de réactivation. Si votre domaine blacklisté e-mail figure sur une liste, envoyez-lui ensuite un résumé écrit des mesures prises.

Mon formulaire multilingue peut-il être détourné sans piratage ?

Oui. Un formulaire qui renvoie une copie à l’adresse saisie permet d’écrire à des inconnus sans qu’aucun fichier soit infecté. Sur un site en français, néerlandais et allemand, chaque version doit être protégée : champ piège ou défi anti-robot, plafond d’envois et suppression de la copie automatique. Contrôlez malgré tout l’intégrité des fichiers par précaution.

Dois-je prévenir l’APD ou mes clients ?

Cela dépend des données touchées. Si des données personnelles ont pu être consultées ou détournées, le RGPD prévoit une notification à l’APD dans les 72 heures, sauf risque improbable, et une information des personnes en cas de risque élevé. Consignez l’incident dans votre registre des violations dans tous les cas. Pour votre situation précise, consultez l’APD ou un juriste.

Comment éviter qu’un site WordPress envoie du spam à nouveau ?

Passez par un SMTP authentifié, protégez chaque formulaire, appliquez les mises à jour sans tarder et supprimez les extensions inutiles. Gardez des sauvegardes hors du serveur et lisez vos rapports DMARC. Une maintenance suivie repère une hausse anormale des envois avant que les listes de blocage ne sanctionnent votre domaine.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Vos e-mails sont refusés par les messageries de vos clients ? Planifiez un appel visio : nous lisons avec vous les avis de non-distribution, la configuration d’envoi et l’état de votre site WordPress, puis nous fixons l’ordre des étapes de nettoyage et de sécurisation.